Red Hat Subscription Asset Manager 1.2.1 修复了多种安全问题、多种缺陷并添加了各种增强，现已可用。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。

Subscription Asset Manager 的最新程序包中包含许多安全补丁：

创建 Subscription Asset Manager 实例时，其配置脚本自动创建内部订阅服务 CA 证书的 RPM。但是，此 RPM 未正确使用 0666 的文件权限创建 CA 证书。这允许客户端系统中的其他用户修改用于信任远程订阅服务器的 CA 证书。建议所有管理员在所有将 Subscription Asset Manager 用作其订阅服务的系统中更新和部署订阅服务证书。下面介绍了此过程：
https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Subscription_Asset_Manager/1.2/html/Installation_Guide/ sect-Installation_Guide-Administration-Upgrading_Subscription_Asset_Ma nager.html (CVE-2012-6116)

未为 Subscription Asset Manager 早期版本实现清单签名检查。这意味着恶意用户可编辑清单文件，插入任意数据，以及将编辑的清单文件成功上传到 Subscription Asset Manager 服务器中。
(CVE-2012-6119)

Ruby 的文档发生器生成 HTML 文档的方式中有一个缺陷。Ruby 应用程序在网络（如网页）中披露其文档时，攻击者可使用特别构建的 URL 在应用程序的用户会话中打开任意 Web 脚本或执行 HTML 代码。(CVE-2013-0256)

在 rubygem-rack 和 ruby193-rubygem-rack 处理 cookie 中的 HMAC 摘要的方式中发现定时攻击缺陷。此缺陷有助于攻击者使用伪造的数字签名绕过认证检查。(CVE-2013-0263)

rubygem-json 中的缺陷允许通过创建不同类型的恶意对象发起远程攻击。例如，可通过消耗资源发起拒绝服务 (DoS) 攻击，方法是使用 JSON 文档创建任意 Ruby 符号（从不对这些符号执行垃圾回收）。也可以利用它来创建内部对象，从而允许 SQL 注入攻击。(CVE-2013-0269)

Ruby on Rails 的 ActiveRecord 中存在一个缺陷，允许远程攻击者避开属性保护和插入其自己的构建的请求，以更改受保护的属性值。(CVE-2013-0276)

在 Subscription Asset Manager UI 的 Notifications 表单中填写用户名字段时，未正确转义 HTML 标记。
这意味着查看条目时，值中使用的 HTML 代码之后应用在了 UI 页面中。这可允许输入恶意 HTML 代码。现在验证字段值，并且转义所有 HTML 标记。(CVE-2013-1823)

这些更新后的程序包还包含缺陷补丁和增强：

* 以前，Subscription Asset Manager 程序包未随附订阅服务的 SELinux 策略。订阅服务器的 SELinux 策略现在随附 candlepin-selinux 程序包。(BZ#906901)

* 导入期间尝试使用订阅服务的 CA 证书验证清单时，比较失败。生成清单的上游订阅服务不是本地订阅服务，因此具有不同的 CA 证书。这导致导入清单失败，并且生成错误“archive failed signature”。此问题已修复，因此将使用正确的证书执行验证。(BZ#918778)

建议所有 Subscription Asset Manager 用户更新到最新程序包。

检测

RHEL 6：Subscription Asset Manager (RHSA-2013: 0686)

high Nessus 插件 ID 65904

未找到变更日志